pkill -u username 是最常用且可靠的方式，但需先用 write 或 loginctl message 发送通知再执行，否则用户无预警断开；推荐 systemd 系统优先使用 loginctl kill-user 配合 message 实现带通知的强制登出。
Linux 中如何用 pkill 强制踢出指定用户并附带通知
直接 kill 用户的 shell 进程是最常用且可靠的方式，但默认不带消息。关键在于先发消息再杀进程，否则用户收不到提示。pkill 配合 wall 或 write 能做到原子性较弱但足够实用的“先通知后下线”。
常见错误是只运行 pkill -u username，结果用户终端瞬间断开，毫无预警。更糟的是用 killall -u username，可能误杀同名进程（比如用户运行了叫 python 的脚本，连系统 python 服务都挂了）。
- 先查活跃会话：
who或w，确认用户名和终端（如tty1、pts/2） - 向该用户发送消息（需对方未禁用
mesg n）：echo "系统维护中，请保存数据" | write username pts/2 - 再强制终止其所有进程：
pkill -u username（推荐）或killall -u username（慎用） - 若需更精准（只杀登录 shell，不碰后台任务），可用：
pkill -u username -f "bash$|zsh$|sh$"
为什么 loginctl 是 systemd 系统的首选方案
在 CentOS 7+/RHEL 8+、Ubuntu 16.04+ 等使用 systemd 的服务器上，loginctl 才是官方支持的会话管理接口，它能区分登录会话、服务会话、容器会话，且自带消息能力。
直接 loginctl terminate-user username 不会发消息；必须分两步：先 loginctl lock-session（可选）再 loginctl kill-user，但真正带通知的是 loginctl message —— 它会把消息推到用户桌面或终端（如果启用了 logind 的消息总线）。
- 列出用户所有会话：
loginctl list-users，再查具体会话：loginctl list-sessions --user=username - 发送带时间戳的消息：
loginctl message --uid=1001 "⚠️ 5 分钟后强制登出" - 踢出会话（保留用户进程）：
loginctl terminate-session session-id - 彻底终止用户全部会话及进程：
loginctl kill-user username
systemctl kill 和 loginctl kill-user 的行为差异
两者都调用 systemd 的 cgroup 杀机制，但作用域不同：systemctl kill 针对 unit（如 user-1001.slice），而 loginctl kill-user 直接按 UID 操作，自动处理所有关联会话和进程树，更干净。
容易被忽略的是信号类型：默认发 SIGTERM，用户进程有机会清理；但很多 shell 会话对 SIGTERM 响应迟钝，导致“看似踢出，实则残留”。这时得加 --signal=SIGKILL。
- 安全踢出（先 SIGTERM，等 5 秒再 SIGKILL）：
loginctl kill-user username --kill-who=control --signal=SIGTERM，再补loginctl kill-user username --signal=SIGKILL - 查看用户资源占用：
systemctl status user-1001.slice，确认是否还有顽固进程卡在Stopping状态 - 若用户用
tmux或screen，kill-user默认不进会话内部，需提前用tmux kill-session -t session-name清理
Web 终端或 SSH 代理场景下消息送达失败的排查点
通过 write 或 loginctl message 发送的消息，在 Web SSH（如 GateOne、Shellinabox）、跳板机或堡垒机后面经常收不到——不是命令错了，而是终端复用或伪 tty 隔离导致消息通道不通。
这时候不能依赖系统级通知，得换路径：要么改用应用层推送（如给用户邮箱发信），要么在 SSH 层做手脚。最务实的办法是提前在 /etc/motd 或用户 ~/.bashrc 里加检查逻辑，定期拉取维护公告。
- 确认目标终端是否为真实 tty：
ls -l /proc/$(pgrep -u username bash)/fd/0，若指向/dev/pts/N则write可用；若指向 socket 或 pipe，则不可用 - Web 终端通常禁用
mesg，可用echo "MSG: ..." > /dev/tty尝试（需 root 权限且目标用户有 tty 写权限） - SSH 强制执行命令时插入提醒：
ssh user@host 'echo "维护开始" >&2; sleep 3; pkill -u $USER'
mesg n（禁止接收消息）以及 systemd 的 logind.conf 中 NAutoVTs= 和 ReserveVT= 设置——它们会影响 loginctl message 的投递路径。不查这些，光换命令没用。 
